5.2. 用户访问扩展资源

流程

1. 如果安装集群扩展不提供默认集群角色，请手动创建一个或多个角色：

   1. 考虑 "Common default cluster roles for users" 中描述的角色集合的用例。

      例如，创建以下 ClusterRole 对象定义中的一个或多个 ClusterRole 对象定义，将 <cluster_extension_api_group> 和 <cluster_extension_custom_resource> 替换为安装集群扩展提供的实际 API 组和资源名称：

      view-custom-resource.yaml 文件示例

      apiVersion: rbac.authorization.k8s.io/v1
      kind: ClusterRole
      metadata:
        name: view-custom-resource
      rules:
      - apiGroups:
        - <cluster_extension_api_group>
        resources:
        - <cluster_extension_custom_resources>
        verbs:
        - get
        - list
        - watch

      Copy to Clipboard Toggle word wrap

      edit-custom-resource.yaml 文件示例

      apiVersion: rbac.authorization.k8s.io/v1
      kind: ClusterRole
      metadata:
        name: edit-custom-resource
      rules:
      - apiGroups:
        - <cluster_extension_api_group>
        resources:
        - <cluster_extension_custom_resources>
        verbs:
        - get
        - list
        - watch
        - create
        - update
        - patch
        - delete

      Copy to Clipboard Toggle word wrap

      admin-custom-resource.yaml 文件示例

      apiVersion: rbac.authorization.k8s.io/v1
      kind: ClusterRole
      metadata:
        name: admin-custom-resource
      rules:
      - apiGroups:
        - <cluster_extension_api_group>
        resources:
        - <cluster_extension_custom_resources>
        verbs:
        - '*' 

      1

      Copy to Clipboard Toggle word wrap

      1

      在 verbs 中设置通配符 (*) 将允许对指定资源的所有操作。

   2. 运行以下命令，为您创建的任何 YAML 文件创建集群角色：

      $ oc create -f <filename>.yaml

      Copy to Clipboard Toggle word wrap

2. 将集群角色关联到特定的用户或组，通过将集群角色绑定到单独的用户或组名称来授予其资源所需的权限：

   1. 创建一个对象定义：对于集群角色绑定，授予对所有命名空间的访问权限；对于角色绑定，授予对一个特定命名空间的访问权限。:

      • 以下示例集群角色绑定向在所有命名空间中授予自定义资源的只读 view 访问权限：

        用户的 ClusterRoleBinding 对象示例

        apiVersion: rbac.authorization.k8s.io/v1
        kind: ClusterRoleBinding
        metadata:
          name: view-custom-resource-binding
        subjects:
        - kind: User
          name: <user_name>
        roleRef:
          kind: ClusterRole
          name: view-custom-resource
          apiGroup: rbac.authorization.k8s.io

        Copy to Clipboard Toggle word wrap

        用户的 ClusterRoleBinding 对象示例

        apiVersion: rbac.authorization.k8s.io/v1
        kind: ClusterRoleBinding
        metadata:
          name: view-custom-resource-binding
        subjects:
        - kind: Group
          name: <group_name>
        roleRef:
          kind: ClusterRole
          name: view-custom-resource
          apiGroup: rbac.authorization.k8s.io

        Copy to Clipboard Toggle word wrap

      • 以下角色绑定将 edit 权限限制到一个特定命名空间：

        用户的 RoleBinding 对象示例

        apiVersion: rbac.authorization.k8s.io/v1
        kind: RoleBinding
        metadata:
          name: edit-custom-resource-edit-binding
          namespace: <namespace>
        subjects:
        - kind: User
          name: <username>
        roleRef:
          kind: Role
          name: custom-resource-edit
          apiGroup: rbac.authorization.k8s.io

        Copy to Clipboard Toggle word wrap

   2. 将对象定义保存到 YAML 文件中。

   3. 运行以下命令来创建对象：

      $ oc create -f <filename>.yaml

      Copy to Clipboard Toggle word wrap

流程

1. 为集群角色创建对象定义，用于指定集群扩展提供的 API 组和资源，并添加聚合标签以扩展一个或多个现有的默认集群角色：

   带有聚合标签的 ClusterRole 对象示例

   apiVersion: rbac.authorization.k8s.io/v1
   kind: ClusterRole
   metadata:
     name: view-custom-resource-aggregated
     labels:
       rbac.authorization.k8s.io/aggregate-to-view: "true"
   rules:
     - apiGroups:
         - <cluster_extension_api_group>
       resources:
         - <cluster_extension_custom_resource>
       verbs:
         - get
         - list
         - watch

   Copy to Clipboard Toggle word wrap

   您可以为 edit 和 admin 创建类似的 ClusterRole 对象，使其有适当的动词操作，如 create, update, 和 delete。通过使用聚合标签，自定义资源的权限将添加到默认角色中。

2. 将对象定义保存到 YAML 文件中。

3. 运行以下命令来创建对象：

   $ oc create -f <filename>.yaml

   Copy to Clipboard Toggle word wrap